Cookiekból hogyan tudnék adatokat csinálni? Lehetséges ez egyáltalán? Leakarom tesztelni, hogy egy rosszindulatú (XSS) linkből nekem mennyi károm származik.

A sütikben manapság jelszavakat nem tárolnak, de munkameneteket igen.

Mivel a HTTP kapcsolat úgy működik, hogy megy egy kérés a szervernek, az válaszol és kész, a kapcsolat lezár, a szerver nem tudja, hogy a következő kérés honnan jött, csak válaszol.

Ezért van szükség a sütikre, hogy valami alapján lehessen azonosítani, hogy kitől jött a kérés.

Ugyanis a böngészők a weboldal megnyitásakor elküldik azt a sütit is amit az adott oldal eltároltatott, így a szerveren már meg lehet különböztetni, hogy éppen kinek válaszolunk.

Nos a rövid bevezető után miért is kell vigyázni a sütikre és a munkamenet azonosítóra?

Mert ha valaki megszerzi, akkor azt tettetheti, hogy "te" vagy. Vagyis a szerver nem fogja tudni megkülönböztetni a támadót tőled, szerinte ő ugyan úgy jogosult mindenhez amihez te magad is.

Miért is rossz?

Nos például bármit beírhat/szerkeszthet/hozzáférhet stb..

Sok oldal ezért is kérik be a jelszót újra, ha adatot akarsz módosítani, mert nem túl kellemes, amikor ellopják a munkamenetet, "belépnek vele" és átírják a jelszavadat.

Bár persze korántsem ennyire egyszerű azért a helyzet szerencsére, ugyanis sok helyen (remélem valóban sok helyen) ellenőrizni szokták a sütit küldő böngésző azonosítót és IP címet is.

Ugyanis azért az "fura", amikor ugyan azzal a session id-vel akar valaki belépni 2 külön IP-ről (bár ugye laptop sé publikus wifi is van... :) ), vagy 2 különböző oprendszer/böngésző alól próbálkozik.

A legtöbb helyen ha ilyet észlelnek, azonnal érvénytelenítik a munkamenetet és újra be kell lépni az oldalra.

Tömören ezt lehet csinálni. :)